AWS、Microsoft Azure、Google Cloud、Microsoft 365などのクラウドサービスを業務で利用する企業が増える一方、不正アクセス、アカウント乗っ取り、設定改ざん、情報漏えいといったインシデントもクラウド上で発生するようになっています。こうした被害では、従来のパソコンやサーバーだけを調べても、攻撃の全体像を把握できない場合があります。

クラウド環境では、ユーザー認証、API操作、ストレージアクセス、権限変更、ネットワーク通信など、多くの操作がサービス事業者側のログとして記録されます。一方で、ログ保持期間や自動スケール、短命なコンテナなどの影響により、証拠が短期間で失われるおそれもあります。

そのため、クラウド上でインシデントが起きた場合は、監査ログやスナップショットを速やかに保全し、認証・API・ネットワーク・ワークロードの記録を時系列で照合することが重要です。

そこで本記事では、クラウドフォレンジックとは何か、調査対象となる主な証拠、実務での調査の流れ、クラウド特有の難しさ、平時から準備しておきたい対策までを解説します。

クラウドフォレンジックとは

クラウドフォレンジックとは、AWS、Azure、GCP、SaaSなどのクラウド環境で発生した不正アクセス、情報漏えい、設定改ざんなどについて、デジタル証拠を特定・保全・収集・解析し、再現可能な形で記録する調査です。

従来のデジタルフォレンジックでは、パソコンやサーバーのストレージを複製し、ディスクイメージやメモリなどを解析する手法が中心でした。

一方、クラウド環境では物理媒体を直接確保できないことも多く、監査ログ、API操作履歴、スナップショット、認証ログなどが重要な証拠になります。

クラウドアカウントへの不正ログイン

管理者や一般ユーザーの認証情報が漏えいすると、第三者がクラウド環境へ不正にログインする可能性があります。

調査では、サインイン日時、接続元IP、利用された認証方式、MFAの成否、アクセスしたサービスなどを確認し、正規ユーザーの操作と不審なアクセスを切り分けます。

IAM権限や設定の不正変更

攻撃者が侵入後に権限昇格を行い、新しい管理者ユーザーやアクセスキー、サービスプリンシパルなどを追加する場合があります。

権限変更、ロール割り当て、MFA設定変更などを確認することで、攻撃者が継続的にアクセスできる状態を作っていなかったかを調査します。

ストレージからの情報漏えい

Amazon S3、Azure Blob Storage、Google Cloud Storage、SharePoint、OneDriveなどでは、保存データへのアクセス履歴が重要な証拠になります。

ファイルやオブジェクトの列挙、閲覧、ダウンロード、共有設定変更などを確認し、どのデータへアクセスされた可能性があるかを整理します。

APIキーやアクセストークンの悪用

クラウド環境では、人間のユーザーだけでなく、APIキー、アクセストークン、サービスアカウントなども攻撃対象になります。

漏えいしたキーが悪用されると、ログイン画面を経由せずAPIから操作されることがあります。そのため、管理画面のログイン履歴だけではなく、API操作履歴まで確認することが重要です。

VM・コンテナ・SaaSへの侵害

クラウド上の仮想マシン、コンテナ、Kubernetes、SaaS環境が侵害されるケースもあります。

クラウド側の監査ログに加え、OSログ、EDR、コンテナ監査ログ、SaaS側の操作履歴などを組み合わせて確認します。

クラウドでは「誰が・どのIDで・何をしたか」を追跡する

クラウドフォレンジックでは、単一のログだけを見るのではなく、認証、権限、API、ネットワーク、ストレージなどの記録を組み合わせます。

「誰が」「どのIDを使用し」「どこから接続し」「何を操作したか」を時系列で整理することが調査の基本になります。

クラウドフォレンジックで確認する主な証拠

クラウド環境では、サービスごとに保存されるログや証拠の種類が異なります。調査では複数のデータソースを収集し、相互に照合します。

コントロールプレーンの監査ログ

AWS CloudTrail、Azure Activity Log、Google Cloud Audit Logsなどには、クラウド環境に対して行われた管理操作が記録されます。

ユーザー作成、権限変更、インスタンス操作、ネットワーク設定変更などを確認することで、攻撃者がどのような操作を行った可能性があるかを追跡できます。

ID・認証ログ

Entra ID、Google Workspace、IAMなどの認証ログから、サインイン、MFA、権限変更、トークンやAPIキーに関する操作を確認します。

通常利用しない国・地域やIPアドレスからの認証、短時間での多数の失敗、見覚えのない端末などは重要な確認ポイントです。

VM・コンテナなどのワークロード証跡

仮想マシンでは、ディスク、メモリ、OSログ、EDRなどが調査対象になります。

コンテナやKubernetesでは、短期間でワークロードが消える場合があるため、監査ログやコンテナ実行情報を早期に確保することが重要です。

ネットワーク通信ログ

VPCやNSGのフローログ、DNS、WAF、ロードバランサー、プロキシなどの記録から、不審な接続や外部へのデータ送信を確認します。

認証ログやストレージアクセスと通信ログを照合することで、情報持ち出しの可能性を確認しやすくなります。

ストレージ・データベースのアクセス履歴

オブジェクトストレージやデータベースでは、データの閲覧、更新、削除、ダウンロードなどの履歴を確認します。

バックアップ、バージョン管理、暗号鍵の利用履歴も、設定改ざんや情報漏えいを確認する手がかりになります。

SaaSの操作ログ

Microsoft 365などのSaaSでは、Unified Audit Log、メール追跡、SharePointやOneDriveの操作履歴などが調査対象になります。

メール転送ルールの追加、ファイルの大量ダウンロード、共有リンクの作成など、アカウント乗っ取り後に行われる操作を確認します。

一つのログだけでは情報漏えいを判断できない

たとえば管理者ログインが確認されたとしても、それだけでデータが流出したとは判断できません。

ログイン後の権限変更、ストレージ列挙、ファイル読出し、共有リンク作成、外部通信などを時系列で結び付けて確認する必要があります。

クラウドフォレンジック調査の流れ

クラウドフォレンジックでは、対象範囲を決めた後、証拠保全、封じ込め、解析、報告という順で調査を進めます。

影響範囲と調査対象を整理する

最初に、影響を受けた可能性があるクラウドアカウント、テナント、サブスクリプション、リージョン、ユーザーID、データ資産などを整理します。

不審なアクセスが発生した時間帯も確認し、必要なログの範囲を決めます。

監査ログやスナップショットを証拠保全する

監査ログを改変されにくい保管先へコピーし、必要に応じてVMやボリュームのスナップショットを取得します。

保全時刻、取得担当者、実行したAPI操作、保存場所などを記録し、後から調査手順を説明できるようにします。

侵害アカウントや通信を封じ込める

証拠を確保した後、侵害された可能性があるアカウントやアクセスキーを無効化し、セッションを失効させます。

必要に応じてAPIキー、OAuth同意、秘密情報などをローテーションし、公開設定やネットワーク設定を修正します。

ただし、情報流出や破壊が現在も進行している場合は、証拠保全より封じ込めを優先することがあります。

ログを解析してタイムラインを作成する

認証ログ、API操作、ネットワーク、OS、SaaSの記録を時系列に並べます。

複数のクラウドサービスを横断して調査する場合は、時刻をUTCなど共通基準へ揃え、時差やログ上の時刻差も考慮します。

これにより、最初の侵入、権限昇格、横展開、データアクセス、外部送信までの流れを整理します。

侵入経路と被害範囲を報告する

解析結果をもとに、侵入経路、悪用されたID、権限変更、データアクセス、情報流出の可能性、影響を受けたサービスなどを整理します。

再発防止策についても、原因そのものへの対策と、ログ監視や権限管理などの改善策を分けて記載することが重要です。

クラウド上の証拠保全が難しい場合はフォレンジック調査会社に相談する

クラウド環境では、どのログを取得すべきか、どのアカウントやリージョンまで確認すべきかを判断するのが難しい場合があります。

また、ログ保持期間や自動削除の設定によって、時間が経つほど調査に必要な証拠が失われる可能性があります。フォレンジック調査会社では、監査ログ、認証履歴、API操作、VM、SaaSなど複数の証跡を組み合わせて調査します。

クラウドでは「証拠が残っているうちに保全すること」が特に重要です。不正アクセスや情報漏えいが疑われる場合は、ログ削除やアカウント削除を進める前に相談してください。

クラウドフォレンジックが従来のフォレンジックと異なる点

クラウドフォレンジックでは、物理端末を直接確保できないことや、証拠が複数サービスへ分散していることが大きな違いです。

証拠がクラウド事業者側にも存在する

オンプレミス環境では、自社で管理するサーバーやネットワーク機器から証拠を取得できます。

クラウドでは、ユーザーが直接取得できるログだけでなく、クラウド事業者側が保持する情報も存在します。

APIやログ経由で証拠を取得する

物理ディスクを直接取り外すのではなく、API、監査ログ、スナップショット、エクスポート機能などを利用して証拠を取得します。

そのため、取得操作そのものもクラウド上の操作として記録される場合があります。

証跡が短期間で消える場合がある

短命なコンテナや自動スケール環境では、インスタンスが削除されると調査対象そのものが消えることがあります。

ログにも保持期限があるため、調査開始が遅れると必要な記録を取得できなくなる可能性があります。

共有責任モデルを考慮する必要がある

クラウドでは、インフラの一部をクラウド事業者が管理し、ユーザー側がアカウント、権限、設定などを管理します。

どの情報を自社で取得できるか、どこから先がクラウド事業者の管理範囲かを確認する必要があります。

データ所在地や契約条件が影響する

複数リージョンや海外のデータセンターを利用している場合は、データ所在地や越境移転、契約条件なども考慮します。

法的手続きや第三者への情報提供を想定する場合は、法務部門や専門家との連携が必要になることがあります。

クラウドフォレンジックを行うメリット

クラウドフォレンジックを行うことで、単に「不正アクセスがあった」という事実だけでなく、攻撃者の操作や被害範囲を具体的に整理できます。

侵入経路を明らかにできる

認証ログやAPI操作履歴を確認することで、漏えいしたパスワード、アクセスキー、OAuthトークンなど、侵入に使われた経路を特定できる場合があります。

どのIDが悪用されたか確認できる

ユーザーID、管理者、サービスアカウント、APIキーなど、どの認証主体が操作に利用されたかを整理できます。

情報漏えいの範囲を整理できる

ストレージやSaaSのアクセス履歴を確認することで、どのファイルやデータが閲覧・ダウンロードされた可能性があるかを調べます。

攻撃者の操作を時系列で確認できる

認証、権限変更、ファイルアクセス、外部通信などを時系列で整理し、攻撃者の一連の行動を可視化できます。

再発防止策を具体化できる

侵入原因が分かれば、MFA、権限管理、ログ監視、APIキー管理、公開設定など、必要な再発防止策を具体的に検討できます。

クラウドフォレンジックに備えて平時から行うべき対策

クラウドでは、インシデントが発生してからログを有効にしても、過去の証拠を取得できない場合があります。そのため、平時から調査可能な状態を作っておくことが重要です。

監査ログを全環境で有効にする

特定リージョンや一部アカウントだけではなく、全リージョン、全アカウント、全テナントを対象に監査ログを有効にします。

ログを専用環境へ集約する

攻撃者が侵害した本番アカウントからログを削除できないよう、専用のセキュリティアカウントや監視環境へログを集約します。

アクセス制御、暗号化、改ざん防止もあわせて設定します。

十分なログ保持期間を設定する

保持期間が短いと、インシデント発覚時にはすでに必要なログが消えている可能性があります。

社内調査、法務、規制対応などの要件を考慮して保存期間を決めてください。

特権IDやAPIキーを継続監査する

管理者ID、サービスプリンシパル、APIキー、OAuthアプリなどを定期的に棚卸しします。

不要な認証情報や長期間使われていない権限を削除することで、攻撃面を減らせます。

ログソースの台帳を作成する

VM、コンテナ、Kubernetes、SaaS、ID基盤など、どこにどのログが保存されているかを一覧化します。

インシデント発生時に「どのログを取得すればよいか」をすぐ判断できる状態にしておくことが重要です。

証拠保全手順をIR計画へ組み込む

監査ログのエクスポート、スナップショット取得、隔離用調査環境の作成などをインシデントレスポンス手順へ組み込みます。

定期的に演習を行い、実際に証拠を取得できるか確認してください。

クラウドフォレンジックでは、インシデント発生後の調査技術だけでなく、平時にどのログを残していたかが調査可能性を大きく左右します。

クラウドフォレンジック調査会社に相談する

クラウド環境への不正アクセスが疑われる場合、監査ログ、認証ログ、API操作、ネットワークログなど、確認対象が複数サービスにまたがることがあります。

フォレンジック調査会社では、AWS、Azure、GCP、Microsoft 365などのログや関連端末を分析し、不正ログイン、権限変更、データアクセス、情報流出などを時系列で整理します。

特に、ログ保持期限が迫っている場合や、複数クラウド・SaaSを横断して被害が疑われる場合は、早い段階で相談することで証拠を確保しやすくなります。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

クラウドフォレンジックとは、AWS、Azure、GCP、Microsoft 365などのクラウド環境で発生した不正アクセスや情報漏えいについて、監査ログ、認証履歴、API操作、スナップショットなどを保全・解析するデジタルフォレンジックです。

クラウドでは、物理ディスクだけではなく、コントロールプレーン、ID、ネットワーク、ストレージ、SaaSなど複数の証跡を組み合わせて「誰が、いつ、どのIDで、何をしたか」を時系列で確認します。

また、クラウド上のログやインスタンスは保持期限や自動削除によって失われる可能性があります。不正アクセスや情報漏えいが疑われる場合は、ログやスナップショットを早期に保全し、必要に応じてクラウドフォレンジック調査を進めることが重要です。